WordPress graafikoille: Osa2 – asennus ja tietoturva

Tässä sarjassa on nyt vähän kestänyt, olen tässä välissä ollut isyyslomalla ja muutenkin aika kiireinen. Mutta nyt jatketaan. Asennus on dokumentoitu erittäin hyvin virallisella sivulla, mutta haluaisin tässä käsitellä muutamaa tietoturvaa parantavaa pikkuseikkaa, jotka kannattaa huomioida asennusvaiheessa. Osaa näistä ei pysty tekemään, jos WP:n asentaa jonkun hallintapaneelin (kuten cPanel) kautta. Joten suosittelen asentamaan sen näin käsin, koska se ei ole iso hanke. Aloitetaan! Ensin ladataan uusin paketti osoitteesta http://fi.wordpress.org/. Tällä hetkellä se on 3.0.2. Sivulla on seuraavanlaiset asennusohjeet:

Asennus

1. Pura tiedostot tyhjään kansioon.
2. Avaa wp-config-sample.php -tiedosto tekstieditorissa (esimerkiksi WordPad) ja täydennä tietokantayhteyden asetukset.
3. Talleta tiedostoksi wp-config.php
4. Siirrä kaikki tiedostot palvelimelle.
5. Avaa /wp-admin/install.php selaimessa. Tämän tulisi alustaa blogisi tarvitsemat taulut tietokantaan. Jos asennuksen aikana tapahtuu virhe, tarkista wp-config.php -tiedosto ja yritä uudelleen. Jos virhe toistuu, kirjoita tukikeskustelupalstalle mahdollisimman yksityiskohtainen kuvaus ongelmasta.
6. Muista ohjelman antama salasana.
7. Asennusohjelmasta siirryt kirjautumissivulle. Kirjaudu tunnukselle admin käyttämällä salasanaa, joka generoitiin asennuksen lopussa. Voit vaihtaa salasanan Käyttäjät-valikossa.

Me seuraamme tätä asennusta, mutta teemme asennuksen hiukan erilailla. Ensinnäkin laitamme wordpressin omaan kansioonsa esim. wordpress. Tämä ei auta tietoturvassa (eikä kansion nimen tarvitse olla kryptinen), sillä kansion osoite näkyy esim. kuvissa, mutta tämä auttaa pitämään web-hotellin juuren puhtaana. Muutamalla pikkumuutoksella saamme sivuston toimimaan suoraan web-hotellin juuressa. Tämä askel on toki täysin vapaaehtoinen, mutta selkeä ja hyvin järjestelty on aina parempi.

Tässä vaiheessa tietokannan pitäisi jo olla luotu, ei kuitenkaan käydä sen luomista läpi tässä. Ilman tietokantaa ei mitään tapahdu. Tietokannan salasana (kuten kaikki muutkin salasanat) kannattaa olla pitkä ja luotu satunnaisesti (esim. täällä). Sitten avataan wp-config-sample.php ohjeiden mukaisesti. Riveille 19-34 tulee normaalisti tietokannan tiedot. Riveille 45-52 laitamme uniikit avaimet, jotka voidaan generoida tiedoston kommenttien mukaisesti osoitteessa https://api.wordpress.org/secret-key/1.1/salt/. Nämä vaihdetaan olemassa olevien rivien tilalle. Sitten siirrytään ensimmäiseen ekstrakohtaan. Rivillä 63 on WP:n tietokantataulukoiden etuliite. Tämä kannattaa vaihtaa, koska se vaikeuttaa hakkereiden pääsyä tietokantaan. Näin ainakin olen asiaa tutkiessani lukenut, ei siitä ainakaan voi haittaa olla.

Nyt olemmekin valmiita wp-configin kanssa. Poistetaan tiedoston nimestä -sample lopusta ja tallennetaan. Nyt mennään osoitteeseen sivusto.fi/wordpress/wp-admin/install.php , ja jos et laittanut wordpressiä omaan kansioonsa, niin jätä tuo wordpress välistä pois. Tällä sivulla kannattaa pääkäyttäjäksi ehdottomasti laittaa joku muu nimi kuin admin. Tällä tavoin vaikeutetaan hakkerointia huomattavasti, kun hakkerin pitää arvata salasanan lisäksi myös käyttäjätunnus.

Nyt sivusto on valmis! Vielä muutamia tietoturvaviilauksia, vaikka WP onkin tietoturvaltaan hyvä. Muutetaan wp-config.php:n oikeudet niin pieniksi kuin mahdollista (minun tapauksessa chmod 400 vielä toimii), jotta kukaan muu jaetulla palvelimella ei pääse lukemaan tietokannan tunnusta ja salasanaa. Netissä on paljon tietoa siitä, miten tiedostojen oikeuksia muutetaan, jos se ei ole vielä tuttua. Tarkasta myös, ettei minkään kansion oikeudet ole 777, yleisesti ottaen kansioille 755 ja tiedostoille 644 on hyvät oikeudet, jos ne ei aiheuta ongelmia. Jos ongelmia ilmenee, kannattaa olla yhteydessä web-hotellin ylläpitäjään.

Lisäksi wp-admin-kansio kannattaa salasanasuojata, jos se ei aiheuta ongelmia käytössä (esim. Ajax-handler ei pääse tiedostoihin käsiksi). Jos johonkin tiedostoon pitää päästä käsiksi ilman salasanaa, voi sen tehdä näiden ohjeiden mukaan. Seuraavaksi poistetaan wp-admin/install.php ja /wp-admin/upgrade.php, joita ei enää asennuksen jälkeen tarvita.

Sitten luodaan juureen .htaccess-tiedosto, johon tulee seuraavat rivit: Options -Indexes DirectoryIndex index.php index.html Order Deny,Allow Deny from all kansion wp-admin voi suojata salasanan lisäksi myös niin, että sinne pääsee vain Suomesta lisäämällä seuraava rimpsu wp-admin-kansion .htaccess-tiedostoon: (tämä toimii ainakin pikaisen testin perusteella, tosin sivuja ei sitten pysty päivittämään ulkomailta)